Etablerte et kontinuerlig sikkerhetsprogram — kodeskanning, DAST, kontroll av avhengigheter og sårbarheter, SBOM‑generering, skanning etter hemmeligheter og SHA‑låste actions — sammen med 21 skriftlige sikkerhetsrevisjoner.

Situasjon. Sikkerhetsarbeidet i applikasjonen — Content Security Policy, databaseroller med minste privilegium, de gjentatte rettighetskontrollene — beskytter plattformen under kjøring. Ingenting av det sier noe om det som faktisk blir levert: om en avhengighet fikk en kjent sårbarhet sist tirsdag, om påloggingsinformasjon ble committet og så tilbakestilt, eller om en tredjeparts action som er låst til en tagg, i det stille har blitt en helt annen kodebit.

Oppgave. Sikkerheten i forsyningskjeden og koden måtte være kontinuerlig og automatisert, slik at tilstanden var et byggresultat og ikke en mening.

Handling. Statisk analyse kjøres gjennom CodeQL, dynamisk testing mot en kjørende instans gjennom ZAP, og Go‑avhengigheter kontrolleres med govulncheck. En stykkliste for programvaren genereres ved hver bygging med Anchore og Syft, slik at det som ble levert, er kjent i stedet for rekonstruert i ettertid. Gitleaks skanner historikken etter påloggingsinformasjon. Hver tredjeparts GitHub Action er låst til en commit‑hash i stedet for en tagg, og det er den uglamorøse kontrollen som hindrer at en tagg blir flyttet under føttene på en. Dependabot overvåker 6 økosystemer. Ved siden av automatiseringen ligger 21 skriftlige sikkerhetsrevisjoner, inkludert en trusselmodell og en vurdering opp mot OWASP‑testveiledningen — fordi skannere finner de problemklassene noen allerede har beskrevet, og en trusselmodell er der de som er spesifikke for denne plattformen, får et navn.

Resultat. En sårbarhet som offentliggjøres oppstrøms, dukker opp som en bygging som feiler, i stedet for som en nyhet. Mengden funn er den egentlige kostnaden — en skanner som rapporterer alt, lærer folk å ignorere den, og å holde signalet brukbart krever løpende triagering i stedet for et engangsoppsett.